Cloud Security Magazine
CSPMとは？クラウドセキュリティ管理強化に役立つ情報をまとめて解説
AWS
クラウドサービスの活用では、業務における作業の利便性向上やコスト抑制など多くのメリットが得られます。しかし一方で、クラウド環境で発生しやすいリスクがあることも事実です。メリットとリスク双方があるなかで、CSPM（Cloud Security Posture Management）は、クラウドのセキュリティを監視し、管理強化を実現するソリューションです。今回はCSPMの基本的な知識と、その必要性、導入メリットや機能、さらに選定のポイントを解説します。
CSPMとは
はじめにCSPMの概要と、類似した用語との違いを解説します。
CSPMの概要
CSPMとは、Cloud Security Posture Managementの頭文字をとった略語です。クラウド環境全体のセキュリティ設定を監視し、設定ミスやコンプライアンス違反、脆弱性を検出して通知したり、アドバイスを提供したりしてくれるソリューションです。
クラウドサービスの不備や設定ミスが情報漏えいやマルウェアの感染、サイバー攻撃などのインシデントの一因となっています。クラウド上に構築したシステム全体のセキュリティを監視し、常に安全な状態に保つことがCSPM導入の目的です。
CWPP、SSPMとの違い
クラウドのセキュリティを管理するソリューションにはCSPMのほか、CWPP、SSPMなどが挙げられます。ここではこれらの類似概念との違いを説明します。
CWPP（Cloud Workload Protection Platform）
クラウドワークロード（クラウド上の仮想マシン、データベース、コンテナ、アプリケーション等）のセキュリティ強化に特化していいます。
マルウェア対策、脆弱性スキャン、侵入検知、セキュリティイベントの監視など、クラウドワークロードの実行中にセキュリティを確保する機能があります。
→詳しくは「CWPPとは？クラウドセキュリティに欠かせないCWPPの機能、種類、選び方を解説」をご覧ください
SSPM（SaaS Security Posture Management ）
SaaSアプリケーションのセキュリティ状態の管理に特化したツールです。SaaSアプリケーションの設定不備によるインシデント(不正アクセス、機密情報流出など)を防止する役割を担います。
クラウド環境で利用されるSaaSアプリケーションのセキュリティ設定の状態、アカウント管理の不備、不審なアクセスがないかなどを定期的に監視し、リスクや脅威を検知した場合にはユーザーに通知するといった機能があります。
本章でご紹介した3点を比較すると、以下のような違いがあります。
CSPM
クラウド環境全体のセキュリティ設定を管理
CWPP
クラウドサービス上のワークロードに対してセキュリティを提供
SSPM
SaaSアプリケーションのセキュリティ状態の管理を行う
CSPMの必要性とは
クラウドシフトが加速している昨今、クラウドの設定ミスを防ぐCSPMは必要性を増しています。CSPMの必要とされる背景と導入メリットを解説します。
CSPMが必要とされる背景
クラウド・コンピューティングの普及と急速な拡大
業務のデジタル化が進み、企業活動の重要部分までクラウド活用が浸透してきています。アクセスの自由度が高まるとともに、セキュリティ上の課題が大きくなっています。
複雑なクラウド環境の増加
企業は多くのクラウドプロバイダーを利用し、複数のクラウド環境を統合して運用しています。こうした状況下ではクラウドリソースや設定の多様性が増し、セキュリティ管理が複雑化します。くわえてワークスタイルの多様化によってクラウドへの接続場所も多岐にわたり、セキュリティの確保が課題となっています。
クラウド設定ミスによるリスクの増大
クラウド活用が盛んになると、クラウド環境でのセキュリティ設定が複雑化します。これは、誤った設定やセキュリティポリシーの違反が起こりやすい状況であり、リスクが高まっているといえます。ガートナー社によるとセキュリティインシデントのほとんどがクラウドの設定ミスが原因で起きるといわれており、その割合は2020年時点では95%を占め、2025年時点では99%を占めると予想されています。 参考：Is the Cloud Secure?
セキュリティコンプライアンスへの適合要件
クラウドを利用する企業は、国際的なセキュリティ規制や業界規準（PCI DSS、HIPAA、GDPRなど）への準拠が求められます。コンプライアンス要件を遵守するためのセキュリティ設定を監視し、評価するための仕組みが必要です。
CSPMのメリット
クラウド利用状況とリスクの可視化
クラウドの利用状況とリスクを、視覚的に把握できるようになります。多くのクラウドサービスを利用している環境では、使用中のシステムの設定状況を把握することが容易ではありません。CSPMを用いることで、設定の状況をダッシュボード上で確認でき、クラウド環境内における脆弱なポイントや、その設定方法についても可視化が可能となります。
クラウドサービスの一元管理
利用中のクラウドサービスを一元管理できます。多くのCSPMは主要なプロバイダーに対応しており、異なるプロバイダーから提供される複数のクラウドサービスに関するセキュリティを一元管理できるようになります。
設定ミスの自動検出
。適切でない設定や、危険な設定などのミスを検出し、企業の脅威になるセキュリティインシデントの発生を防ぎます。人的に把握しきれない設定の問題や潜在的なリスクを特定し、問題が顕在化する前にアラートで通知することで迅速な対応が可能です。またコンプライアンス規制に違反する設定ミスや脆弱性を検出した場合には、修正措置を通じて違反を回避し、クラウド環境会の脆弱性を検出した場合には、モニタリングをして事故発生のリスクを回避します。
CSPMの主な機能と仕組み
CSPM（Cloud Security Posture Management）の主要な機能と仕組みを説明します。
パブリッククラウドの利用状況とリスクを可視化
機能：クラウド上のリソースや設定を可視化し、どのクラウドサービスを使っているか、またそれらのリソースがどのように構成されているかをひと目で確認できます。
仕組み：クラウドアカウントにアクセスし、リソースの配置や設定情報を収集。ダッシュボードやレポートとして表示することで、クラウドの状況を可視化しています。
複数のクラウドサービスを一元管理
機能：異なるクラウドプロバイダーで展開されたリソースを、統合的に管理します。複数のクラウド環境を一つのコントロールセンターから管理できます。
仕組み：CSPMでは各クラウドプロバイダーのAPIを利用し、リソースの管理やセキュリティ設定の統合を実現します。複雑なマルチクラウド環境でも効率的な管理が可能です。
設定ミスやインシデントなどのリスクを検知
機能：セキュリティリスクや設定の誤り、セキュリティインシデントを自動的に検知し、潜在的なセキュリティの問題を漏らさず対処できます。
仕組み：クラウド環境を定期的にスキャンし、セキュリティポリシーへの違反や、設定ミスがある場合にアラートを生成します。また、異常なアクティビティを監視し、セキュリティインシデントを迅速に検出します。
国際基準に基づくコンプライアンスチェック
機能：国際的なセキュリティ規制やコンプライアンス基準に基づいて、クラウド環境が適切なコンプライアンスを保持しているかどうか確認します。法的な要件への対応が確実になります。
仕組み：コンプライアンス基準を設定し、クラウドリソースの設定やポリシーがこれに準拠しているかを評価します。違反がある場合、アラートを発して通知します。
アラート機能
機能：セキュリティに関する重要なイベントやリスクを検出すると、アラートを生成して関係者に通知します。迅速に対策を講じるための手がかりとなります。
仕組み：定期的なスキャンにより設定ミスなどのインシデント因子や、異常事象を検出します。アラートが稼働し、管理者に通知される仕組みです。
CSPM製品の選び方
自社に合ったCSPM製品を導入する際に必要な主な選択ポイントを解説します。
サービスのカバー範囲
どのクラウドプロバイダーとサービスをサポートしているかを確認します。一般的に企業で使われることの多いAWS、Azure、GCP（Google Cloud Platform）などの主要なプロバイダーに対応していることが重要です。また、サービスの種類（仮想マシン、データベース、ストレージなど）についてもカバー範囲を確認する必要があります。
ルールの豊富さ
CSPMの設定ルールやポリシーの豊富さが重要です。セキュリティ設定に関する幅広いルールセットが提供されている製品は、自社業務に合わせてより包括的で柔軟性のあるセキュリティ監視と対策が可能となります。
可視化・レポート機能
クラウド上に構築されているシステムの設定を、ダッシュボードなどの画面を用いて可視化する機能です。クラウドが提唱するセキュリティベストプラクティスやセキュリティベンチマークにどの程度準拠できているかをスコア表示で確認できる、設定ミスが起きている箇所を特定できるなど、迅速に必要な対策をとるための確認・分析ができる機能が求められます。
連携機能
設定ミスへの対応は、まず検出された情報に気づき、それをインシデントとして適切に管理する必要があります。実際に効果的な運用を行うためには、CSPM製品を他のタスク管理ツールやコミュニケーションツールと組み合わせて使用できることが求められます。自社で採用しているツールとの互換性を確認することが重要です。
サポート体制
製品のトラブルシューティングやアップデートの際に頼りになるサポートが提供されているか、また国内のサポート拠点があるかどうかも確認します。業務に支障をきたすことのないよう、タイムリーなサポート体制が必要です。
なお、国産のCSPM製品を選ぶことにより、さらに以下のような利点が得られます。
言語や文化の違いによるコミュニケーションの障壁が少ない
国内法規制やコンプライアンスに対応している可能性が高い
サポート体制が日本国内にあるため、迅速な対応が期待できる
CSPMで安全性の高いクラウド活用を実現する
多くの企業がAWS、GCP、Azureなどのパブリッククラウドを活用しているなかで、セキュリティ懸念も拡大しています。設定ミスや潜在する不備を見過ごすことで、大きなトラブルにつながりかねません。
CSPMを利用することで、パブリッククラウドの設定を継続的に監視し、リスクのある設定が行われた場合には迅速に検知し、セキュリティインシデントを未然に防ぐことができます。
CSPM導入の検討にあたっては、機能面が充実していることはもちろん、使いやすく信頼性のあるソリューションを選ぶことが重要です。
弊社では、国産のCSPMツールである「Cloudbase」を提供しています。豊富な日本語のドキュメントにより、わかりやすく安心感のあるセキュリティ運用が可能です。現在のクラウドセキュリティに不安のある方は、ぜひご活用ください。
